current state of encryted email

wergor

connoisseur de mimi

Registered: Jul 2005
Location: vulkanland
Posts: 4118

08.02.2025 - 09:13

Urteil: TLS-Verschlüsselung bei E-Mail-Rechnungen an Privatkunden zu wenig?

Der Fall einer per E-Mail geschickten Privatkunden-Rechnung, die von Kriminellen manipuliert wurde, wanderte vor Gericht. Der Knackpunkt: die Verschlüsselung.

Link: www.heise.de

Wie schaut es bei euch aus? Benutzt ihr smime oder PGP? Keys sind aktuell? Oder verschlüsselt ihr emails gar nicht?

daisho

Vereinsmitglied
SHODAN

Registered: Nov 2002
Location: 4C4
Posts: 19788

08.02.2025 - 09:31

Es gibt manche (wenige) Kunden die das regulär machen (also tatsächlich verschlüsselt) soviel ich in meiner bisherigen Karriere mitbekommen habe (kann ich an einer Hand abzählen glaube ich).

Gegen S/MIME spricht ja nicht wirklich was, das verschlüsselt aber nicht den Content sondern signiert nur damit man sicherstellen kann dass er nicht verändert wurde. Ob das bei regulären Mailverkehr notwendig ist sei dahingestellt.

Der 0815 User merkt das vermutlich auch nicht wenn da jemand ein Fake (echtes) Zert verwendet um eine gefälschte Rechnung auszuschicken und nachher statt Telekom Austria halt Telekom Austria Inc. dort steht in der Signatur.

PGP erfordert ja Keyaustausch vorher soweit ich weiß, daher eher unpraktikabel. Eine ordentliche globale einfache allgemeingültige Lösung gibts dafür noch nicht oder?

Viper780

Elder
Er ist tot, Jim!

Registered: Mar 2001
Location: Wien
Posts: 50429

08.02.2025 - 09:43

PGP gibt's auch Keyserver so wie bei s/mime

Wie bei https ist es ein mühsamer Prozess und die Tools nicht praktikabel.

Viele verwenden für Mails die default Smartphone App oder eine Webinterface - beides unterstützt kein signieren.

S/mime wird mir auch nur in Outlook mit einer Plakette angezeigt.

Wenn ich von meinem privat PC in Thunderbird eine E-Mail schreibe dann wird signiert, mit zwei Freunden 1x im Jahr auch verschlüsselt.
99% meiner Kommunikation findet aber außerhalb dieser Konstellation statt

dio

Here to stay

Registered: Nov 2002
Location: Graz
Posts: 4938

08.02.2025 - 09:46

Ich hab ueberlegt, ob ich mir so ein Zertifikat goenne. Sogar Apple Mail kann damit umgehen.

userohnenamen

leider kein name

Registered: Feb 2004
Location: -
Posts: 15864

08.02.2025 - 09:46

smime auf gateway ebene für signierung und verschlüsselung hat meine firma z.b.
gibt auch firmen die auf das bestehen wenn du mit ihnen geschäfte machen willst
alles was auf persönlicher ebene stattfindet is laut meiner erfahrung nicht praktikabel bzw gehen zu viele daten verloren (nicht nur einmal erlebt)

smashIt

master of disaster

Registered: Feb 2004
Location: OÖ
Posts: 5279

08.02.2025 - 10:13

verschlusseln der mails nein.
habe auch noch nie eine verschlüsselte zugeschickt bekommen.
ich gleiche aber bei überweisungsaufforderungen immer die bankdaten mit denen auf der homepage ab. (und ich tippe die adresse selber ein

)

COLOSSUS

Administrator
GNUltra

Registered: Dec 2000
Location: ~
Posts: 12142

08.02.2025 - 10:26

Ich benutze selbst seit langer Zeit GnuPG/OpenPGP, und signiere oft und verschluessle immer(, wenn ich einen Pubkey meines Adressaten habe). Ich krieg auch das eine oder andere verschluesselte Email pro Jahr, eigentlich immer von Protonmail-Kunden. Freut mich jedes Mal

dio

Here to stay

Registered: Nov 2002
Location: Graz
Posts: 4938

08.02.2025 - 10:34

Ich wünschte oft, ich hätte auf der anderen Seite meiner Kommunikation Partner, mit denen ich verschlüsselte Mails austauschen kann. Das betrifft privat die Übermittlung von gesundheitsrelevanten Befunden bis zu Datenaustausch für die Steuerklärung so ziemlich alles. Wenn man dann mit den Behörden Kontakt aufnimmt, dass auch ein Fax keine sichere Übermittlung ist, bekommt man oft nur Blödsinn als replik. Auch beruflich im Gesundheitswesen ist es ein Wahnsinn, welche Datenschutzübertretungen von mir oft verlangt werden. So sehr ich offenes schätze wie GPG, dennoch würd ich mir ein Durchdringen von S/MIME wünschen...

liltan0x

Little Overclocker

Registered: Jul 2024
Location: void
Posts: 60

08.02.2025 - 13:43

in der arbeit werden zwar die zerts zur verfügung gestellt, aber nicht aufgeklärt wie man damit nun auch fake erkennt bzw. die sinne dafür geschärft.

privat noch NIE ein encrytetes mail bekommen oder auch nur benötigt. henne/ei problem halt.

Extrafeinripp

Bloody Newbie

Registered: Sep 2022
Location: n
Posts: 21

08.02.2025 - 14:20

Zitat aus einem Post von COLOSSUS
Ich krieg auch das eine oder andere verschluesselte Email pro Jahr, eigentlich immer von Protonmail-Kunden. Freut mich jedes Mal

haben die einen Sammelkey oder wie funktioniert das?

COLOSSUS

Administrator
GNUltra

Registered: Dec 2000
Location: ~
Posts: 12142

08.02.2025 - 14:26

@Extrafeinripp: Ich bin selber kein Protonmail-User, aber bilde mir ein gelesen zu haben, dass die OpenPGP in ihrem Javascript-basierten Browser-MUA implementiert haben. Also da kannst du GPG clientseitig mit deinem eigenen Schluesselmaterial machen.

(Auch wenn ich es bedenklich finde, den Private Key mit Software zu generieren oder zu verarbeiten, die zu jeder Zeit durch den Dienstanbieter "verwanzt" werden koennte. Ich wuerd's nicht so machen.)

wergor connoisseur de mimi Registered: Jul 2005 Location: vulkanland Posts: 4118	08.02.2025 - 09:13 Urteil: TLS-Verschlüsselung bei E-Mail-Rechnungen an Privatkunden zu wenig? Der Fall einer per E-Mail geschickten Privatkunden-Rechnung, die von Kriminellen manipuliert wurde, wanderte vor Gericht. Der Knackpunkt: die Verschlüsselung. Link: www.heise.de Wie schaut es bei euch aus? Benutzt ihr smime oder PGP? Keys sind aktuell? Oder verschlüsselt ihr emails gar nicht?
daisho Vereinsmitglied SHODAN Registered: Nov 2002 Location: 4C4 Posts: 19788	08.02.2025 - 09:31 Es gibt manche (wenige) Kunden die das regulär machen (also tatsächlich verschlüsselt) soviel ich in meiner bisherigen Karriere mitbekommen habe (kann ich an einer Hand abzählen glaube ich). Gegen S/MIME spricht ja nicht wirklich was, das verschlüsselt aber nicht den Content sondern signiert nur damit man sicherstellen kann dass er nicht verändert wurde. Ob das bei regulären Mailverkehr notwendig ist sei dahingestellt. Der 0815 User merkt das vermutlich auch nicht wenn da jemand ein Fake (echtes) Zert verwendet um eine gefälschte Rechnung auszuschicken und nachher statt Telekom Austria halt Telekom Austria Inc. dort steht in der Signatur. PGP erfordert ja Keyaustausch vorher soweit ich weiß, daher eher unpraktikabel. Eine ordentliche globale einfache allgemeingültige Lösung gibts dafür noch nicht oder?
Viper780 Elder Er ist tot, Jim! Registered: Mar 2001 Location: Wien Posts: 50429	08.02.2025 - 09:43 PGP gibt's auch Keyserver so wie bei s/mime Wie bei https ist es ein mühsamer Prozess und die Tools nicht praktikabel. Viele verwenden für Mails die default Smartphone App oder eine Webinterface - beides unterstützt kein signieren. S/mime wird mir auch nur in Outlook mit einer Plakette angezeigt. Wenn ich von meinem privat PC in Thunderbird eine E-Mail schreibe dann wird signiert, mit zwei Freunden 1x im Jahr auch verschlüsselt. 99% meiner Kommunikation findet aber außerhalb dieser Konstellation statt
dio Here to stay Registered: Nov 2002 Location: Graz Posts: 4938	08.02.2025 - 09:46 Ich hab ueberlegt, ob ich mir so ein Zertifikat goenne. Sogar Apple Mail kann damit umgehen.
userohnenamen leider kein name Registered: Feb 2004 Location: - Posts: 15864	08.02.2025 - 09:46 smime auf gateway ebene für signierung und verschlüsselung hat meine firma z.b. gibt auch firmen die auf das bestehen wenn du mit ihnen geschäfte machen willst alles was auf persönlicher ebene stattfindet is laut meiner erfahrung nicht praktikabel bzw gehen zu viele daten verloren (nicht nur einmal erlebt)
smashIt master of disaster Registered: Feb 2004 Location: OÖ Posts: 5279	08.02.2025 - 10:13 verschlusseln der mails nein. habe auch noch nie eine verschlüsselte zugeschickt bekommen. ich gleiche aber bei überweisungsaufforderungen immer die bankdaten mit denen auf der homepage ab. (und ich tippe die adresse selber ein )
COLOSSUS Administrator GNUltra Registered: Dec 2000 Location: ~ Posts: 12142	08.02.2025 - 10:26 Ich benutze selbst seit langer Zeit GnuPG/OpenPGP, und signiere oft und verschluessle immer(, wenn ich einen Pubkey meines Adressaten habe). Ich krieg auch das eine oder andere verschluesselte Email pro Jahr, eigentlich immer von Protonmail-Kunden. Freut mich jedes Mal
dio Here to stay Registered: Nov 2002 Location: Graz Posts: 4938	08.02.2025 - 10:34 Ich wünschte oft, ich hätte auf der anderen Seite meiner Kommunikation Partner, mit denen ich verschlüsselte Mails austauschen kann. Das betrifft privat die Übermittlung von gesundheitsrelevanten Befunden bis zu Datenaustausch für die Steuerklärung so ziemlich alles. Wenn man dann mit den Behörden Kontakt aufnimmt, dass auch ein Fax keine sichere Übermittlung ist, bekommt man oft nur Blödsinn als replik. Auch beruflich im Gesundheitswesen ist es ein Wahnsinn, welche Datenschutzübertretungen von mir oft verlangt werden. So sehr ich offenes schätze wie GPG, dennoch würd ich mir ein Durchdringen von S/MIME wünschen...
liltan0x Little Overclocker Registered: Jul 2024 Location: void Posts: 60	08.02.2025 - 13:43 in der arbeit werden zwar die zerts zur verfügung gestellt, aber nicht aufgeklärt wie man damit nun auch fake erkennt bzw. die sinne dafür geschärft. privat noch NIE ein encrytetes mail bekommen oder auch nur benötigt. henne/ei problem halt.
Extrafeinripp Bloody Newbie Registered: Sep 2022 Location: n Posts: 21	08.02.2025 - 14:20 Zitat aus einem Post von COLOSSUS Ich krieg auch das eine oder andere verschluesselte Email pro Jahr, eigentlich immer von Protonmail-Kunden. Freut mich jedes Mal haben die einen Sammelkey oder wie funktioniert das?
COLOSSUS Administrator GNUltra Registered: Dec 2000 Location: ~ Posts: 12142	08.02.2025 - 14:26 @Extrafeinripp: Ich bin selber kein Protonmail-User, aber bilde mir ein gelesen zu haben, dass die OpenPGP in ihrem Javascript-basierten Browser-MUA implementiert haben. Also da kannst du GPG clientseitig mit deinem eigenen Schluesselmaterial machen. (Auch wenn ich es bedenklich finde, den Private Key mit Software zu generieren oder zu verarbeiten, die zu jeder Zeit durch den Dienstanbieter "verwanzt" werden koennte. Ich wuerd's nicht so machen.)

current state of encryted email

Forum Index > Software > Applications, Apps & Drivers

wergor

daisho

Viper780

dio

userohnenamen

smashIt

COLOSSUS

dio

liltan0x

Extrafeinripp

COLOSSUS